2026年10月25日 ・ 開発環境

2026年10月版 個人PCと証券口座を守る対策6つ 🛡️

この記事について 📖

対象読者: 自宅のWindowsやMacを自分で管理している方。SBI証券や楽天証券などのネット証券を使っている方

この記事で扱うこと: 2026年10月に公表された脆弱性のうち、個人のPCとネット証券の口座に関わるものと、その対策です。情報は2026年10月25日時点のもので、公式や研究者本人の情報で確かめたものと、報道でしか確認できていないものを分けて書きます

はじめに 👋

こんにちは！H×Hのセンリツ大好きエンジニアです！✌️

2026年10月は、個人のPCに関わる脆弱性の公表が重なった月でした。Windowsでは悪用が確認された脆弱性が見つかり、Webの安全な通信を支える証明書の仕組みでも秘密鍵の漏洩が起きています。

どれも「更新すれば済む」話に見えます。ただ、調べていくと、OSとブラウザを更新しただけでは残るものがありました。私のMacでも、付属のコマンドがまだ危ない証明書を信用したままでした。

もう一つ見逃せないのが、ネット証券の口座の乗っ取りです。パスキーの導入が進んだ今も、手口を変えて続いています。この記事では、やることを6つに絞って紹介します。

※この記事はAIと2人3脚で執筆されています

この記事はおよそ9000字なので、18 分で読めます！

目次 📚

1. Windowsの10月の更新を入れる
2. macOSを最新にする
3. ブラウザとアプリを更新する
4. 証明書の鍵漏洩に備えてアプリを更新する
5. 自宅のWi-Fiルーターを確かめる
6. ネット証券の口座を守る
7. まとめ

1. Windowsの10月の更新を入れる — 悪用済みの脆弱性 🪟

「最も急ぐべきなのは、すでに攻撃に使われているWindowsの脆弱性です。」

何が見つかったのか

Microsoftは2026年10月14日（日本時間）に月例のセキュリティ更新を出しました。この中のCVE-2026-96951について、Microsoftは悪用の事実を確認済みと公表しています。IPAの「Microsoft 製品の脆弱性対策について(2026年10月)」も、被害が広がるおそれがあるとして至急の適用を呼びかけています。

CVE-2026-96951は、Windowsシェルの「セキュリティ機能のバイパス」に分類される脆弱性です。報道のBleepingComputerによると、Mark of the Web（MotW）の保護をすり抜けられるとされています。

MotWは、ネットから落としたファイルに付く目印です。この目印があるから、開くときに「発信元を確認できません」といった警告が出ます。すり抜けられると、その警告が出ないまま危ないファイルを開いてしまいます。

やること

• 設定 → Windows Update → 更新プログラムのチェック
• 更新後に再起動まで済ませる
• 更新までは知らない人の zip や ISO を開かない

更新は自動で降ってきますが、再起動するまで適用されません。シャットダウンせずにスリープで使い続けている方は、一度再起動しておくと確実です。

24H2を使っている方へ

BleepingComputerは、Windows 11 バージョン24H2のHomeとProについて、今回の更新が最後のセキュリティ更新だと伝えています。Microsoftの公式情報では、まだ確かめられていない話です。とはいえ winver で自分の版を見ておいて損はありません。24H2と出たら、Windows Updateから新しい版へ上げることを推奨します。

2. macOSを最新にする — 再起動まで確かめる 🍎

「Appleは9月28日に、現行の3世代すべてへ修正版を出しています。」

Appleのセキュリティアップデートの一覧によると、9月28日に次の版が出ました。

システム設定 → 一般 → ソフトウェアアップデート から更新できます。ターミナルを使う方は softwareupdate -l で残りを一覧できます。

ここで一つ、私が実際に踏んだ失敗の話を。softwareupdate -i --restart で更新したところ、ダウンロードが100%になったまま、インストールも再起動もせずに終わりました。コマンドが終わったことと、更新が入ったことは別物です。

更新した後は、版と起動時刻を確かめます。

sw_vers -productVersion   # 版が上がったか
sysctl kern.boottime      # 本当に再起動したか

版が変わっていなければ、システム設定のソフトウェアアップデートを開いて「今すぐ再起動」を押します。

3. ブラウザとアプリを更新する — 開きっぱなしは古いまま 🌐

「ブラウザは、更新が届いていても再起動するまで古い版で動き続けます。」

Chromeは156へ

Chromeの公式リリースノートによると、10月20日に安定版がバージョン156（156.0.8078.47）に上がりました。この1回で353件のセキュリティ修正が入っています。

353件という数は、ふだんの更新と比べてもかなり多い部類です。ブラウザは毎日ネットの見知らぬページを読み込む、PCで最も攻撃を受けやすい入り口です。この規模の修正が出た直後は、古い版のまま使い続ける危険が大きくなります。

版を確かめる場所

各ブラウザは、版を表示する画面を開くと更新を確かめ、そのまま再起動のボタンを出します。

Chromeなら「156.0.8078.47」以降が表示されれば、今回の修正は適用済みです。

タブを何十枚も開いたまま何週間も使っていると、更新が届いていても古い版で動き続けます。右上に「更新」の表示が出ていたら、それは再起動待ちの合図です。

拡張機能とほかのアプリ

ブラウザ本体だけでなく、拡張機能も入り口になります。使っていない拡張機能は削除し、残すものも提供元を確かめておくと安心です。

ほかのアプリは、まとめて更新できる仕組みを使うと漏れが減ります。

winget upgrade --all     # Windows（winget で入れたアプリ）
brew upgrade             # Mac（Homebrew で入れたアプリ）

App Storeや Microsoft Store から入れたアプリは、それぞれのストアで自動更新を有効にしておきます。

4. 証明書の鍵漏洩に備えてアプリを更新する — OSの更新だけでは足りない 🔑

「なりすましに使える秘密鍵が漏れ、ブラウザ以外のアプリが取り残されています。」

何が起きたのか

インドの認証局eMudhraが発行した中間CA証明書8枚で、秘密鍵が誰でも復元できる状態になっていました。詳細は報告者がまとめたページ（eMudhra intermediate CA compromise）にあります。鍵は2025年4月の証明書作成時から復元可能だったとされ、2026年10月17日に報告されました。

このページは影響を次のように書いています。

An attacker with the private key of any of the compromised intermediate CAs could impersonate any website or service.

つまり、この鍵を持つ人は、銀行でも何でも好きなサイトの「正しい証明書」を作れてしまいます。

ブラウザはもう守られている

主要なブラウザとOSは、すでにこの証明書を無効にしました。Chrome と Firefox が10月17日、Microsoft が10月20日、Apple が10月22日です。さらに、証明書の透明性（Certificate Transparency）を確かめるブラウザは、そもそも攻撃を受けなかったとされています。

取り残されているもの

問題は、ブラウザとは別に自前で証明書の一覧を持っているアプリです。報告ページは「OSやブラウザを更新するだけでは足りない場合がある」と注意しています。修正済みとして挙げられている版は次のとおりです。

Electronは、SlackやDiscordなど多くのデスクトップアプリの土台です。アプリ側が新しいElectronで作り直されるまで、修正は届きません。各アプリを最新にしておきます。

pip install -U certifi   # Python を使っている場合
node -v                  # 上の表の版より古ければ更新する

私のMacで確かめた結果

報告ページには、自分の環境がまだ危ない証明書を信用しているかを確かめる接続先があります。つながってしまったら「まだ信用している」という意味です。

手元のMac（macOS 27.0.1）で、付属の /usr/bin/curl と、別に入れたcurlで比べました。

$ /usr/bin/curl -sS -o /dev/null -w '%{http_code}\n' https://dv-g3b-emudhra.we-have-a-problem.com/
200
$ curl -sS -o /dev/null -w '%{http_code}\n' https://dv-g3b-emudhra.we-have-a-problem.com/
curl: (60) SSL certificate OpenSSL verify result: certificate rejected (28)

macOSに最初から入っているcurlは、漏洩した証明書で守られたサイトに普通につながりました。最新のmacOSでもこの状態です。報告ページによると、Appleは将来の更新で該当の証明書ファイル（/etc/ssl/cert.pem）を直すと表明しています。

ブラウザで同じURLを開くとエラーになったので、ブラウザは守られていると分かりました。だからこそ、ターミナルのコマンドだけが取り残されていることに驚きました。それまでは、HomebrewやNixで入れたcurlを使うのが安全です。

5. 自宅のWi-Fiルーターを確かめる — WPSplinter 📡

「PCの外にある家庭のルーターにも、パスワードなしで乗っ取れる脆弱性が見つかりました。」

10月16日に公表された「WPSplinter」は、Broadcom製のWi-Fiの、WPS（ボタンで簡単に接続する機能）の処理にあるバグです。研究者の公開ページによると、攻撃者は電波の届く距離にいるだけで、Wi-Fiのパスワードを知らなくてもルーター上でコードを動かせます。CVE番号はなく、多くの機種に修正が出ていません。

• 管理画面で WPS を無効にする
• メーカーに修正版の有無を問い合わせる
• ファームウェアの自動更新を有効にする
• サポート切れのルーターは買い替える

WPSを切っても、問題の処理が残る可能性があると研究者は注意しています。WPSの無効化は被害を減らす手段であって、修正の代わりにはなりません。

6. ネット証券の口座を守る — パスキーの次に狙われる場所 💴

「パスキーを預けているGoogleやAppleのアカウントが、新しい標的になっています。」

被害は今も続いている

ネット証券の口座の乗っ取りは、2025年に大きな問題になりました。盗んだIDとパスワードでログインし、口座の株を勝手に売って、その代金で国内外の小型株を買う手口です。金融庁の注意喚起ページは2026年10月9日に更新され、2025年1月から2026年9月までの被害状況を公表しています。

これを受けて各社は、フィッシングに強い認証であるパスキーの導入を進めました。

SBI証券のFAQによると、必須化の後もユーザーネームとパスワードでのログインは使えます。ただし、パスキーを設定するまで案内が出続けます。楽天証券のお知らせでは、時期は人ごとに個別に案内され、パスキーを作るとパスワードではログインできなくなると説明されています。

パスキーの次に狙われているもの

2026年10月2日、SBI証券はGoogleやAppleのアカウントを狙うフィッシングへの注意を呼びかけました。@ITの記事によると、内容は次のような流れです。

• Google・Apple のアカウントをフィッシングで奪う
• そこに同期されたパスキーやパスワードを使う
• 証券口座へ不正にログインする

パスキーそのものが破られたわけではありません。パスキーを同期しているアカウントが、すべての鍵をまとめて入れた金庫になっている、という話です。SBI証券は自社のシステムからIDやパスワードが漏れたものではないと説明し、10月8日には自社の口座での被害は確認されていないと補足しています。

自分の環境に置き換えて考えると、少し怖くなりました。私もパスワードとパスキーの多くを、OSのアカウントに同期して使っています。便利さの裏で、そのアカウント一つが破られると被害が全部に及ぶ構造です。

やること

金融庁と各社の案内をもとに、PCの側でできることをまとめます。

• 証券会社のパスキーを設定する
• Google・Apple アカウントに2段階認証を設定する
• アカウントの回復用メール・電話番号を確かめる
• 証券会社はブックマークから開く
• メールや SMS のリンクから開かない
• 出金・出金先変更の通知を有効にする
• 電話やSMSの指示でパスキーを登録し直さない

金融庁は、見覚えのある送信者からのメールやSMSでも、リンクは開かないよう呼びかけています。PCのOSとソフトを最新にし、マルウェア対策を入れておくことも、対策の一つです。この記事の1〜4の項目は、そのまま証券口座を守ることにもつながります。

楽天証券は、2025年に多要素認証を必須にした理由として、フィッシングに加えてスパイウェアやマルウェアによる不正取引も挙げていました。証券口座を守る話は、結局のところPCそのものを守る話に戻ってきます。

まとめ 🎊

• Windows は10月の更新を入れて再起動
• macOS は版と起動時刻まで確かめる
• ブラウザは更新後の再起動を忘れない
• Python・Node.js・Electron 系アプリも更新
• Mac 付属の curl はまだ危ない
• ルーターは WPS を切りメーカーに確認
• 証券口座はパスキーとGoogle・Appleアカウントの2段階認証

今月の脆弱性を並べてみると、共通していたのは「更新したつもり」が危ないという点でした。再起動しないWindows、インストールされていないmacOS、OSとは別に証明書を持つアプリ。どれも、更新ボタンを押しただけでは終わりません。

月に一度、Windowsの月例更新が出る第2水曜日の翌日あたりに、この6つを順に見直すことを推奨します。

参考リンク 🔗

公式・一次情報

• Microsoft 製品の脆弱性対策について(2026年10月)（IPA）
• Apple security releases（Apple）
• eMudhra intermediate CA compromise（報告者のページ）
• WPSplinter（研究者の公開ページ）
• Stable Channel Update for Desktop（Chrome Releases）
• インターネット取引サービスの不正アクセス・不正取引への注意喚起（金融庁）
• パスキー認証は必須になりますか？（SBI証券 FAQ）
• ログイン時の「パスキー認証」を段階的に必須化します（楽天証券）

報道

• Microsoft October 2026 Patch Tuesday（BleepingComputer）
• 「パスキーだから安心」が危ない? SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り（@IT）